FICHE CVE

CVE-2014-7857

Publiée le 2017-08-25 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Plusieurs modèles de serveurs de stockage en réseau (NAS) D-Link sont affectés par une faille de contournement d'authentification. Un attaquant ayant accès au réseau peut obtenir les privilèges d'administrateur complets en envoyant simplement une requête spécialement conçue à l'interface web de l'appareil. Cette exploitation ne nécessite ni identifiants valides ni interaction de la part de l'utilisateur pour être exécutée.

CVSS 3.09.8 CRITIQUE

Type de faiblesse

Authentification incorrecte · CWE-287

Publiée2017-08-25

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

D-Link DNS-320L firmware before 1.04b12, DNS-327L before 1.03b04 Build0119, DNR-326 1.40b03, DNS-320B 1.02b01, DNS-345 1.03b06, DNS-325 1.05b03, and DNS-322L 2.00b07 allow remote attackers to bypass authentication and log in with administrator permissions by passing the cgi_set_wto command in the cmd parameter, and setting the spawned session's cookie to username=admin.